Outlook e Chrome, due falle già sfruttate: gli aggiornamenti di novembre da installare subito

Tra il 9 e il 10 novembre 2026 Google e Microsoft hanno corretto due vulnerabilità che, secondo i produttori stessi, erano già sfruttate in attacchi reali: una in Microsoft Outlook (CVE-2026-124194) e una in Google Chrome (CVE-2026-125350). Il 10 novembre l’agenzia statunitense CISA le ha inserite entrambe nel catalogo delle vulnerabilità sfruttate.

Outlook e il browser sono sui computer di quasi ogni ufficio. Per una PMI ticinese il messaggio è pratico: questi due aggiornamenti non vanno lasciati al prossimo riavvio casuale, ma installati e verificati questa settimana.

Outlook: un file di messaggio che svela le credenziali

Secondo la scheda di Microsoft, un attaccante può inviare un file di messaggio preparato ad arte e convincere l’utente ad aprirlo in Outlook. All’apertura, Outlook può collegarsi a una risorsa di rete controllata dall’attaccante senza mostrare il consueto avviso sui contenuti esterni. In questo modo può essere esposto l’hash NTLMv2 dell’utente, cioè un’impronta delle sue credenziali Windows che può essere usata per autenticarsi al suo posto.

• Gravità ufficiale: CVSS 3.1 di 6.5, «moderata» per Microsoft. Il punteggio è contenuto perché serve un’azione dell’utente, ma la falla è già sfruttata e Microsoft indica che il cliente deve intervenire.
• Riquadro di lettura: secondo Microsoft non è un vettore di attacco; serve l’apertura del file.
• Prodotti interessati: Microsoft 365 Apps for Enterprise, Office LTSC 2021 e Office LTSC 2024.

Versioni corrette indicate da Microsoft:

Chrome: una pagina web e il browser è compromesso

Il 9 novembre Google ha pubblicato Chrome 157.0.8103.50/.51 per Windows e Mac e 157.0.8103.50 per Linux, con nove correzioni di sicurezza. Google scrive di essere a conoscenza di un exploit in circolazione per CVE-2026-125350, un errore di gestione della memoria nel componente XML: secondo la descrizione ufficiale, una pagina HTML preparata può far eseguire codice all’interno della sandbox del browser. Il NVD riporta un CVSS di 8.8.

Riguarda anche gli altri browser basati su Chromium. Per Microsoft Edge, al momento della pubblicazione le note di sicurezza di Microsoft indicano che la correzione è in preparazione: va installata appena disponibile.

E i server Windows?

Il rilascio di novembre di Microsoft contiene correzioni per oltre mille vulnerabilità. Oltre a Outlook, nessuna risulta sfruttata, ma alcune hanno punteggi molto alti: per esempio CVE-2026-119958 nel servizio LDAP di Windows (CVSS 9.8, senza credenziali), rilevante per i controller di dominio. Microsoft valuta lo sfruttamento «meno probabile». Chi gestisce un server Windows in ufficio dovrebbe comunque pianificare gli aggiornamenti di novembre a breve.

Cosa fare questa settimana

1. Aggiornare Office su tutti i computer con Outlook. In Outlook: File, Account Office, Opzioni di aggiornamento, Aggiorna ora. Poi confrontare il numero di build con la tabella qui sopra, o chiederlo al fornitore IT.
2. Aggiornare Chrome e riavviarlo. Menu Guida, Informazioni su Google Chrome, poi Riavvia. Un browser che resta aperto per giorni non applica l’aggiornamento.
3. Tenere d’occhio Edge e gli altri browser Chromium (Brave, Opera, Vivaldi) e installare la correzione appena esce.
4. Avvisare i collaboratori. Non aprire file di messaggio o allegati Office inattesi, anche se il mittente sembra noto. Il phishing resta la via d’ingresso più comune, come abbiamo visto con le false prenotazioni d’albergo.
5. Chiedere al fornitore IT se il traffico SMB verso Internet è bloccato sul firewall: è una misura di difesa generale contro la fuga di credenziali NTLM.
6. Rafforzare gli accessi. Se le credenziali vengono esposte, l’autenticazione a più fattori limita i danni: vedi i cinque livelli di sicurezza degli accessi.

Non pubblichiamo dettagli su come sfruttare queste falle: l’obiettivo è aggiornare e verificare. Per le falle sfruttate del mese scorso vedi anche il nostro riepilogo di fine ottobre.

Se un account è stato compromesso: segnalazioni

• Cambiare subito la password dell’account interessato e controllare accessi e regole di inoltro della casella di posta.
• Protezione dei dati (nLPD). Se sono stati esposti dati personali e la violazione comporta verosimilmente un rischio elevato per le persone interessate, l’articolo 24 della legge sulla protezione dei dati prevede la notifica all’IFPDT il prima possibile. Le linee guida dell’IFPDT aiutano a valutare il caso.
• UFCS. Per la maggior parte delle PMI la segnalazione all’UFCS è volontaria, ma utile. I gestori di infrastrutture critiche hanno invece l’obbligo di segnalare i ciberattacchi entro 24 ore dalla scoperta.

Domande frequenti

Usiamo Outlook sul web o sul telefono: siamo interessati?

La scheda di Microsoft elenca solo le applicazioni desktop di Office (Microsoft 365 Apps, Office LTSC 2021 e 2024). Chi usa anche Outlook su Windows deve aggiornarlo.

Microsoft 365 si aggiorna da solo: basta aspettare?

Di norma sì, ma dipende dal canale di aggiornamento e dal fatto che l’applicazione venga chiusa e riaperta. Conviene verificare il numero di build almeno sui computer più esposti, come quelli della contabilità o della direzione.

Chrome dice di essere aggiornato, ma la versione è vecchia: perché?

Google distribuisce gli aggiornamenti in modo graduale. Aprendo la pagina Informazioni su Google Chrome il browser cerca subito l’aggiornamento; poi va riavviato.

Il nostro approccio

ElaraTeq Sagl supporta PMI e studi in Ticino nella gestione degli aggiornamenti, nella configurazione sicura di posta e postazioni e nella sensibilizzazione dei collaboratori (consulenza, hosting in Svizzera). Per un controllo della vostra situazione potete contattarci.

Fonti

• Microsoft, CVE-2026-124194, Microsoft Outlook Spoofing Vulnerability, 10 novembre 2026
• Microsoft, Release notes for Microsoft 365 Apps security updates
• NIST NVD, CVE-2026-124194 e CVE-2026-125350
• CISA, Known Exploited Vulnerabilities Catalog (aggiunte del 10 novembre 2026)
• Google, Stable Channel Update for Desktop, 9 novembre 2026
• Microsoft, Release notes for Microsoft Edge Security Updates
• Microsoft, CVE-2026-119958, Windows LDAP Remote Code Execution Vulnerability
• UFCS, Obbligo di segnalare ciberattacchi contro le infrastrutture critiche
• IFPDT, Linee guida sulla notifica di violazioni della sicurezza dei dati